CN115113913A - 更新管理服务器、更新管理方法和计算机可读存储介质 - Google Patents

Abstract

更新管理服务器具备：获取部，从多个移动体获取移动体控制部的程序的版本信息以及作为检测到的信息的移动体信息；生成部，基于版本信息和移动体信息，按移动体控制部的程序的每个版本来生成示出移动体信息的正常范围的正常范围信息，生成部基于多个移动体中的移动体控制部的程序是第一版本的移动体中检测到的移动体信息来生成第一版本的正常范围信息，在生成比第一版本新的第二版本的正常范围信息的情况下，确定多个移动体中的移动体控制部的程序的版本是第一版本时检测到的移动体信息为第一版本的正常范围内的移动体，使用确定的移动体的移动体控制部的程序的版本是第二版本时由确定的移动体检测到的移动体信息来生成第二版本的正常范围信息。

Description

更新管理服务器、更新管理方法和计算机可读存储介质

技术领域

本发明涉及更新管理服务器、更新管理方法和计算机可读存储介质。

背景技术

在专利文献1中，公开了可改写应用程序的ECU，作为车辆用的ECU。

专利文献1：日本特开2020-27666号公报。

发明内容

在第一方式中，提供了更新管理服务器。更新管理服务器具备获取部，其从多个移动体中的每一个，获取对每一个移动体的至少一部分进行控制的移动体控制部的程序的版本信息、以及作为在每一个移动体中检测到的信息的移动体信息。更新管理服务器具备生成部，其基于获取部获取的版本信息和移动体信息，按移动体控制部的程序的每个版本来生成示出移动体信息的正常范围的正常范围信息。生成部基于多个移动体中的、移动体控制部的程序是第一版本的移动体中检测到的移动体信息，来生成第一版本的正常范围信息。生成部在生成比第一版本新的第二版本的正常范围信息的情况下，确定多个移动体中的、移动体控制部的程序的版本是第一版本时检测到的移动体信息为第一版本的正常范围内的移动体，使用确定的移动体的移动体控制部的程序的版本是第二版本时由确定的移动体检测到的移动体信息，来生成第二版本的正常范围信息。

获取部可以从多个移动体中的每一个，获取对每一个移动体的至少一部分进行控制的多个移动体控制部中的每一个的程序的版本信息、以及移动体信息。生成部可以基于获取部获取的版本信息和移动体信息，按多个移动体控制部的程序的版本的每个组合，生成正常范围信息。

获取部还可以获取种类信息，该种类信息示出由移动体控制部控制的被控制设备的硬件的种类。生成部可以基于获取部获取的种类信息和移动体信息，按移动体控制部的程序的版本和硬件的种类的每个组合，生成正常范围信息。

移动体信息可以包括示出多个移动体的移动状态的信息。生成部可以按移动体的每个移动状态，生成正常范围信息。

移动体的移动状态可以包括如下中的至少一个：停止中、加速中、定速移动中和减速中。

更新管理服务器还可以具备通知控制部，其确定多个移动体中的、检测到移动体控制部的程序的版本的正常范围外的移动体信息的移动体，并控制向与确定的移动体相关联的用户的通知。

更新管理服务器还可以具备更新限制部，其在第一版本的正常范围是单个范围、第二版本的正常范围是多个范围的情况下，限制通过第二版本的程序来改写移动体控制部的程序。

移动体可以是车辆。

在第三方式中，提供了更新管理方法。更新管理方法具备：从多个移动体中的每一个，获取对每一个移动体的至少一部分进行控制的移动体控制部的程序的版本信息、以及作为在每一个移动体中检测到的信息的移动体信息的步骤。更新管理方法具备：基于获取的版本信息和移动体信息，按移动体控制部的程序的每个版本来生成示出移动体信息的正常范围的正常范围信息的步骤。按移动体控制部的程序的每个版本来生成示出移动体信息的正常范围的正常范围信息的步骤具备：基于多个移动体中的、移动体控制部的程序是第一版本的移动体中检测到的移动体信息来生成第一版本的正常范围信息的步骤。按移动体控制部的程序的每个版本来生成示出移动体信息的正常范围的正常范围信息的步骤具备：生成比第一版本新的第二版本的正常范围信息的步骤，其中，该步骤具有：确定多个移动体中的、移动体控制部的程序的版本是第一版本时检测到的移动体信息为第一版本的正常范围内的移动体的步骤、以及使用确定的移动体的移动体控制部的程序的版本是第二版本时由确定的移动体检测到的移动体信息来生成第二版本的正常范围信息的步骤。

在第四方式中，提供了程序。程序使计算机执行：从多个移动体中的每一个，获取对每一个移动体的至少一部分进行控制的移动体控制部的程序的版本信息、以及作为在每一个移动体中检测到的信息的移动体信息的工序。程序使计算机执行：基于获取的版本信息和移动体信息，按移动体控制部的程序的每个版本来生成示出移动体信息的正常范围的正常范围信息的工序。按移动体控制部的程序的每个版本来生成示出移动体信息的正常范围的正常范围信息的工序具备：基于多个移动体中的、移动体控制部的程序是第一版本的移动体中检测到的移动体信息来生成第一版本的正常范围信息的工序；以及生成比第一版本新的第二版本的正常范围信息的工序，其中，该工序具有：确定多个移动体中的、移动体控制部的程序的版本是第一版本时检测到的移动体信息为第一版本的正常范围内的移动体的工序、以及使用确定的移动体的移动体控制部的程序的版本是第二版本时由确定的移动体检测到的移动体信息来生成第二版本的正常范围信息的工序。

另外，上述的发明内容并未列出本发明的所有必要特征。此外，上述这些多个特征中的分支特征的组合也能成为发明。

附图说明

图1示意性地示出了一个实施方式的更新系统10。

图2示意性地示出了控制系统200所具备的系统结构以及被控制设备。

图3示出了更新管理服务器70的系统结构。

图4示出了更新管理服务器70所管理的传感器信息的数据结构的一个例子。

图5示意性地示出了正常范围信息的一个例子。

图6是用于说明使用正常范围500的判断的图。

图7示意性地示出了按车辆的每种移动状态而生成的正常范围信息的一个例子。

图8示出了生成与ECU204的程序的版本“V2”对应的正常范围信息的处理的执行工序的一个例子。

图9是用于说明基于在程序更新后生成的正常范围信息而停止更新程序的发布的情况的图。

图10以数据表形式示出了变形例中的传感器信息的数据结构。

图11示出了考虑到硬件种类的正常范围的一个例子。

图12示出了计算机2000的例子。

具体实施方式

下面，通过发明的实施方式来说明本发明，但下面的实施方式并不用于限定请求保护的范围涉及的发明。此外，实施方式中说明的特征的所有组合对于发明的解决方案来说并非是必不可少的。

图1示意性地示出了一个实施方式的更新系统10。更新系统10具备车辆20、以及更新管理服务器70。车辆20具备控制系统200。控制系统200担负车辆20的控制、以及通过通信网络90的与更新管理服务器70之间的通信。通信网络90包括互联网等IP网络、P2P网络、包含VPN的专用线路、虚拟网络、移动体通信网等。

在车辆20中，控制系统200具备多个ECU(Electronic Control Unit：电子控制单元)，所述ECU进行车辆20的控制。控制系统200从外部获取控制系统200所具备的ECU的更新程序。例如，控制系统200通过通信网络90，利用无线通信接收从更新管理服务器70发送的更新程序。控制系统200用更新程序来改写控制系统200所具备的ECU执行的程序，由此对控制系统200所具备的ECU重新编程。这样的重新编程是以控制系统200所具备的ECU的功能的升级等作为目的而进行的。如此，控制系统200通过OTA(Over The Air，空中下载)对ECU重新编程，由此更新ECU。在本实施方式中，将利用更新程序来改写ECU等的设备所执行的程序称为“程序更新”。

更新管理服务器70向包含车辆20在内的多个车辆发送更新程序。更新管理服务器70从包含车辆20在内的多个车辆，收集在车辆中检测到的传感器数据。

例如，控制系统200收集由设置在车辆20的各种传感器检测到的信息。例如，控制系统200收集由排气声传感器、引擎转速传感器等检测到的传感器数据。控制系统200将由各种传感器检测到的传感器数据与对控制系统200所具备的ECU进行控制的程序的当前的版本信息一起发送到更新管理服务器70。更新管理服务器70使用从多个车辆收集的传感器数据，按ECU的程序的每个版本来生成传感器数据的分布模型，使用分布模型，按每个版本来决定示出传感器数据的正常范围的正常范围信息。更新管理服务器70向被检测到偏离正常范围的传感器数据的车辆的用户，通知促使通过经销商检查车辆的消息。

在此，在进行了车辆20所具备的ECU的程序更新后，控制系统200将传感器数据与ECU的新版本一起发送到更新管理服务器70。更新管理服务器70在进行程序更新之前在车辆20中检测到的传感器数据收容于先前版本的正常范围内的情况下，将从程序更新后的车辆20获取的传感器数据用于生成新版本的正常范围信息。当进行ECU的程序更新时，有时传感器数据的正常范围发生变化。根据更新管理服务器70，即使在进行程序更新的系统中，也能够使用正常的可能性较高的车辆的传感器数据来生成新版本的正常范围信息。

图2示意性地示出了控制系统200所具备的系统结构以及被控制设备。控制系统200具备TCU201、ECU202、ECU204、ECU205、ECU206、MID298、以及IVI299。

ECU202通过通信网络280，与TCU201、ECU204、ECU205、ECU206和ECU207、MID298和IVI299相互通信。ECU202总括地控制TCU201、ECU204、ECU205、ECU206和ECU207、MID298和IVI299。通信网络280例如可以被构成为包括CAN(Controller Area Network：控制器局域网)或以太网等。

TCU201是远程信息控制单元(Telematics Control Unit)。TCU201主要担负移动体通信。TCU201基于ECU202的控制，在与更新管理服务器70之间进行数据的收发。TCU201基于ECU202的控制，通过移动体通信接收从更新管理服务器70发送的更新程序。TCU201能作为无线通信部发挥作用。

MID298是多功能信息显示器。IVI299例如是车内娱乐节目信息设备(IVI)。MID298和IVI299能作为显示控制部发挥作用。IVI299具备无线LAN通信功能。IVI299基于ECU202的控制，利用无线LАN通信来接收从更新管理服务器70发送的更新程序。

ECU204、ECU205、ECU206和ECU207分别是作为对车辆20的至少一部分进行控制的车辆控制部的ECU。ECU204、ECU205、ECU206和ECU207是“移动体控制部”的一个例子。ECU204、ECU205、ECU206和ECU207控制车辆20所具备的各种被控制设备。被控制设备例如是燃料喷射装置、电池、上锁装置、各种传感器等。在本实施方式中，ECU204控制作为燃料喷射装置FI294，并且获取在FI294中检测到的信息。此外，ECU205、ECU206和ECU207分别控制传感器295、传感器296、传感器297等传感器，并且获取由各传感器检测到的传感器数据。

在本实施方式中，例示了控制系统200具备TCU201、ECU202、ECU204、ECU205、ECU206、ECU207、MID298和IVI299的系统结构，但是控制系统200的系统结构不限于本实施方式的例子。此外，在本实施方式中，作为例示，说明为，能成为程序更新的对象的移动体控制部是ECU204和ECU205，ECU202作为对程序更新进行控制的更新控制装置发挥作用。另外，能成为程序更新的对象的移动体控制部不限于这些ECU。能成为程序更新的对象的移动体控制部可以是TCU201、ECU202、ECU204、ECU205、ECU206、ECU207、MID298和IVI299中的任一个。

ECU202控制ECU205、ECU206和ECU207，从传感器295、传感器296和传感器297获取传感器数据。此外，ECU202在内部存储器中保持对ECU204的工作进行控制的程序的当前的版本信息。ECU202通过TCU201将从传感器295、传感器296和传感器297收集的传感器数据发送到更新管理服务器70。此时，ECU202向更新管理服务器70发送，包括ECU204和ECU205的当前的版本信息。

在此，对程序更新进行说明。说明成为程序更新的对象的设备是ECU、ECU的固件储存用的存储器是单组存储器(单bank存储器，所谓的单面ROM)的情况下的程序更新处理。在该情况下，ECU的固件储存用的程序存储区域是一个，因此，在ECU依照在程序存储区域内储存的程序而工作的情况下，不能将更新程序写入到程序存储区域。在进行ECU的程序更新的情况下，ECU202向ECU转送更新程序，在ECU的预定的数据存储区域中储存更新程序，之后，向ECU指示程序更新。ECU当被指示程序更新时，执行进行程序更新的控制代码，将转送到数据存储区域的更新程序写入到程序存储区域，以激活更新程序。更新程序的激活包括对ECU的启动参数进行设定的处理，以使得在例如ECU的启动时加载更新程序，并开始基于更新程序的控制。

接着，说明ECU的内部存储器是双组存储器(双bank存储器，所谓的两面ROM)的情况下的程序更新处理。在该情况下，ECU具有固件储存用的2个程序存储区域，因此，在ECU依照第一程序存储区域中储存的程序而工作的情况下，能够将更新程序写入到第二程序存储区域。也就是说，能够通过所谓的背面写入，向成为背面的第二程序存储区域写入更新程序。因此，例如，即使在车辆20的行进中，也能够将更新程序写入到第二程序存储区域。因此，ECU202当将更新程序转送到ECU时，向ECU指示以使得将更新程序写入到第二程序存储区域。当完成了更新程序向ECU的第二程序存储区域的写入时，成为可进行ECU的程序更新的状态。在ECU202进行ECU的程序更新的情况下，ECU202向ECU指示以使得激活写入到第二程序存储区域的更新程序。更新程序的激活包括对ECU的启动参数进行设定的处理，以使得在例如ECU的启动时，加载第二程序存储区域中储存的更新程序，并开始基于更新程序的控制。例如，更新程序的激活包括使第二程序存储区域作为程序的读出区域而有效化、并且使第一程序存储区域作为程序的读出区域而无效化的处理。如此，“程序更新”是包括指示将更新程序写入到ECU的程序存储区域的概念。此外，“程序更新”是包括进行激活写入到程序存储区域的更新程序的指示的概念。通过完成激活，现有的程序被改写为新的更新程序。

在具有单组存储器的内部存储器的ECU的程序更新中，在将更新程序写入到程序存储区域的期间、以及进行更新程序的激活的期间内，ECU可能不能控制车辆。另一方面，在具有双组存储器的内部存储器的ECU的程序更新中，在将更新程序写入到背面(非有效面)的程序存储区域的期间内，ECU能够通过存储在另一个表面(有效面)中的程序来进行车辆的控制。

图3示出了更新管理服务器70的系统结构。更新管理服务器70具备通信部390、存储部380、以及处理部300。

处理部300例如通过包括处理器的运算处理装置来实现。存储部380被实现为具备非易失性的存储介质。处理部300使用储存在存储部380中的信息来进行处理。通信部390担负与包含车辆20在内的多个车辆之间的通信。

处理部300具备获取部310、生成部320、通知控制部340、以及更新限制部350。

获取部310从多个车辆中的每一个，获取对每一个车辆的至少一部分进行控制的ECU的程序的版本信息、以及作为在每一个车辆中检测到的信息的车辆信息。生成部320基于获取部310获取的版本信息和车辆信息，按ECU的程序的每个版本来生成示出车辆信息的正常范围的正常范围信息。生成部320基于多个车辆中的、ECU的程序是第一版本的车辆中检测到的车辆信息来生成第一版本的正常范围信息，在生成比第一版本新的第二版本的正常范围信息的情况下，确定多个车辆中的、ECU的程序的版本是第一版本时检测到的车辆信息为第一版本的正常范围内的车辆，使用所确定的车辆的ECU的程序的版本是第二版本时由所确定的车辆检测到的车辆信息，来生成第二版本的正常范围信息。

获取部310可以从多个车辆中的每一个，获取对每一个车辆的至少一部分进行控制的多个ECU中的每一个的程序的版本信息、以及车辆信息。生成部320可以基于获取部310获取的版本信息和车辆信息，按多个ECU的程序的版本的每个组合，生成正常范围信息。

获取部310还可以获取种类信息，该种类信息示出由ECU控制的被控制设备的硬件的种类。生成部320可以基于获取部310获取的种类信息和车辆信息，按ECU的程序的版本和硬件的种类的每个组合，生成正常范围信息。

车辆信息可以包括示出多个车辆的移动状态的信息。生成部320可以按车辆的每种移动状态来生成正常范围信息。

车辆的移动状态可以包括如下中的至少一个：停止中、加速中、定速移动中和减速中。

通知控制部340确定多个车辆中的、检测到ECU的程序的版本的正常范围外的车辆信息的车辆，并控制向用户的通知，所述用户与所确定的车辆相关联。更新限制部350在第一版本的正常范围是单个范围、第二版本的正常范围是多个范围的情况下，限制通过第二版本的程序来改写ECU的程序。

图4示出了更新管理服务器70所管理的传感器信息的数据结构的一个例子。传感器信息存储在存储部380中。传感器信息包括“VIN”、“程序版本1”、“程序版本2”。

“VIN”是识别车辆的信息。“程序版本1”例如是ECU204的程序的版本信息。“程序版本2”例如是ECU206的程序的版本信息。传感器信息是由传感器295～297检测到的传感器数据。在车辆20中，ECU202在将由传感器295～297检测到的传感器数据发送到更新管理服务器70的情况下，将VIN、程序版本1和程序版本2和发送到更新管理服务器70。获取部310将从各车辆获取的传感器数据储存在传感器信息中。

图5示意性地示出了正常范围信息的一个例子。图5的正常范围500示出了将排气噪音和引擎转速作为参数的二维空间中的正常范围。图5的(V1，V1)示出了在ECU204的程序的版本是V1并且ECU206的程序的版本是V1的情况下检测到的信息的正常范围。

对确定正常范围500的情况下的处理的概要进行说明。更新管理服务器70的生成部320从储存在传感器信息中的传感器数据，按程序版本的每个组合来提取排气噪音和引擎转速的数据。例如，生成部320从传感器信息中获取与(程序版本1，程序版本2)＝(V1，V1)相对应的数据。生成部320使用所获取的数据，在二维空间中进行绘制，所述二维空间将排气噪音和引擎转速作为参数。生成部320通过内核密度估计等方法，生成分布模型，所述分布模型表示将排气噪音和引擎转速作为参数的二维空间中的密度分布。生成部320基于分布模型来决定正常范围500。例如，生成部320在将排气噪音和引擎转速作为参数的二维空间中，将分布密度高于预定值的范围决定为正常范围500。

在排气噪音和引擎转速的二维空间上对从车辆收集的排气噪音和引擎转速的数据进行了绘制的情况下，只要在正常范围500内，就能够判断为传感器数据处于正常范围内。另一方面，在排气噪音和引擎转速不为正常范围500内的情况下，能够判断为传感器数据不为正常范围内。另外，在本实施方式中，作为传感器数据，例示了排气噪音和引擎转速，但是建模的数据不限于此，可以是装载于车辆的设备所获取的各种传感器值(包括基于传感器值的信息)、与控制装置的控制状态有关的信息。例如，不仅是车速、加速度、角速度、引擎温度、电池温度，还能够应用加速器节气门开度传感器值、大气压传感器值、制动开关、行进距离、散热器水温传感器值、引擎运转时间、氧传感器值、空燃比传感器值、发动时进气温度、电池电压、齿轮位置、进气温度传感器、引擎怠速停止模式相关的信息、点火时期、点火输入电压、根据来自防盗器、曲柄传感器、曲柄传感器的脉冲变动检测到的失火的计数、上止点传感器脉冲未检测计数、净化控制螺线管阀工作百分比、引擎/逆变器等的冷却水温传感器值、启动曲柄、变矩器的滑移率、燃料切断控制状态、气流传感器值、怠速控制状态、失火感测学习状态、爆震控制的点火时期校正值、燃料供给的短期校正、燃料供给的长期校正、防止爆震的点火时期延迟、线控驱动节气门的积碳率、怠速校正值、排气再循环装置阀开度值、排气再循环装置阀开度指示值、排气再循环装置阀开度传感器值、气缸失火检测状态、曲柄传感器噪声计数值、上止点传感器脉冲噪声计数值、曲柄传感器感测失火计数值、节流阀开度、怠速控制目标节流门开度值、节气门开度目标值、喷射器控制状态、目标怠速转速、发动时冷却水水温、可变阀定时控制CAM角度、可变阀定时控制螺线管控制状态等各种车辆信息。由此，能够以各种评价轴来收集车辆数据，因此，能够从各种角度验证问题的确定。

图6是用于说明使用正常范围500的判断的图。从某个车辆收集的(V1，V1)所对应的传感器数据的排气噪音和引擎转速在二维空间上，绘制在图6的数据点600所示的位置。由于该数据点600处于正常范围500内，所以能够将从该车辆检测到的传感器数据的排气噪音和引擎转速视为正常的。

另一方面，从某个车辆收集的(V1，V1)所对应的传感器数据的排气噪音和引擎转速在二维空间上，绘制在图6的数据点610所示的位置。由于数据点610处于正常范围500外，所以通知控制部340向该车辆的用户通知促使通过经销商检查车辆的消息。

图7示意性地示出了按车辆的每种移动状态而生成的正常范围信息的一个例子。在图7中，作为移动状态，例示了“停止中”、“加速中”、“定速行进中”和“减速中”。生成部320根据从车辆收集的加速度数据、速度数据，确定车辆的移动状态。除了ECU的程序的版本的每个组合之外，生成部320还按每个移动状态来生成正常范围信息。此外，生成部320不仅使用图5和图6中例示的排气噪音和引擎转速的组合，还使用彼此具有相关性的传感器数据的组合的传感器数据，按每个移动状态来生成多个正常范围信息。由此，能够根据车辆的移动状态更详细地判断。

图8示出生成与ECU204的程序的版本“V2”对应的正常范围信息的处理的执行工序的一个例子。在S702中，生成部320参照传感器信息，在进行ECU204的程序更新之前，确定过去在(V1，V1)的状态下检测到正常范围内的传感器数据的车辆。在S704中，生成部320收集在S702中确定的车辆在(V2，V1)的状态下检测到的传感器数据。在S706中，生成部320使用在S704中收集的传感器数据，生成(V2，V1)的正常范围信息。如此，能够提取在程序更新前检测到正常范围内的传感器数据的车辆，使用所提取的车辆在程序更新后的状态下检测到的传感器数据，生成正常范围信息。因此，能够针对进行了程序更新的车辆，适当地判断传感器数据是否处于正常范围内。

图9是用于说明基于在程序更新后生成的正常范围信息来停止更新程序的发布的情况的图。如图9所示，相对于(V1，V1)中的正常范围500示出单个范围，(V2，V1)中的正常范围分离为第一正常范围910和第二正常范围920。如此，从程序更新前检测到的传感器数据中生成的正常范围是单个范围，另一方面，从程序更新后检测到的传感器数据中生成的正常范围分离为多个范围，在该情况下，更新限制部350不向车辆20发布ECU204的版本V2的更新程序。

作为正常范围分离为多个范围的原因，有可能是由于传感器的制造商等的不同而产生的。例如，考虑有可能是由于不同的制造商所制造的传感器不能由更新后的程序正确控制，从而正常范围被分离为多个范围。因此，通过停止向车辆20发布该更新程序，能够抑制更新程序向多个车辆发布。

图10以数据表形式示出了变形例中的传感器信息的数据结构。图10所示的传感器信息除了图4所示的传感器信息所具备的数据项目以外，还具有“硬件种类”的数据项目。假设，“硬件种类”是确定传感器296的硬件的种类的信息。如上所述，有时由多个制造商提供传感器。在该情况下，正常范围有时按传感器的每个制造商而不同。为了应对这种情况，车辆将传感器数据以及包括传感器的硬件种类在内的数据一起发送到更新管理服务器70。然后，生成部320按照程序的版本和硬件的种类的每个任意组合，生成正常范围。另外，硬件种类是包括硬件的版本的概念。

另外，不仅是在正常范围由于程序更新被分离的情况下，在正常范围的形状、大小和位置在程序更新前后完全不同的情况下，也同样地，更新限制部350可以停止向车辆20发布更新程序。例如，在程序更新前的正常范围和程序更新后的正常范围在二维空间上重叠的面积小于预定值的情况下，可以停止向车辆20发布更新程序。

图11示出考虑了硬件种类的正常范围的一个例子。在图11中，(V1，V1，H1)示出了ECU204的程序版本是V1，并且，ECU206的程序版本是V1，传感器295的种类是H1。(V1，V1，H2)示出ECU204的程序版本是V1，并且，ECU206的程序版本是V1，传感器295的种类是H2。正常范围1110示出生成部320根据在(V1，V1，H1)的组合的车辆中检测到的传感器数据而生成的正常范围。正常范围1120示出生成部320根据在(V1，V1，H2)的组合的车辆中检测到的传感器数据而生成的正常范围。

如此，对于能够预先掌握硬件的种类的不同的车辆，能够在正常范围中反映并判断硬件的种类所引起的不同。因此，能够考虑各车辆所具有的硬件的不同，来适当地判断各车辆处于正常范围内。

如上面说明的那样，根据更新管理服务器70，能够在生成新版本的正常范围信息的情况下，使用从程序更新前能够检测到正常范围内的传感器数据的车辆所收集的程序更新后检测到的传感器数据，来生成新版本的正常范围信息。因此，即使在进行程序更新的系统中，也能够使用正常的可能性较高的车辆的传感器数据来生成新版本的正常范围信息。

另外，在图3之后关联说明的实施方式中，主要说明了按2个ECU的程序版本的每个组合来生成正常范围信息的情况。可是，既能够采用按2个以上程序版本的每个组合来生成正常范围信息的方式，也能够采用按1个ECU的每个程序版本来生成正常范围信息的方式。此外，还能够采用按2个以上的硬件种类的每个组合来生成正常范围信息的方式。

车辆20是作为运输设备的一个例子的车辆。车辆可以是具备内燃机的汽车、电动汽车、燃料电池汽车(FCV)等汽车。汽车包括巴士、卡车、二轮机动车等。车辆既可以是鞍乘型车辆等，也可以是摩托车。作为运输设备，除了车辆之外，还包括包含无人飞机在内的飞机、船舶等设备。运输设备可以是运输人或物品的任意设备。运输设备是移动体的一个例子。移动体不限于运输设备，可以是可移动的任意设备。

图12示出能使本发明的多个实施方式整体或局部地具体化的计算机2200的例子。安装在计算机2200中的程序能够使计算机2000作为实施方式涉及的控制系统等系统或系统的各部、或者更新管理服务器70等装置或该装置的各部发挥作用，能够使计算机2000执行与该系统或系统的各部、或者该装置或该装置的各部相关的操作，和/或能够使计算机2000执行实施方式涉及的进程或该进程的步骤。可以是，上述这样的程序以使计算机2000执行本说明书中描述的处理工序以及框图的框中的若干项目或所有项目所相关的确定操作为目的由CPU2012执行。

本实施方式的计算机2000包括CPU2012和RAM2014，上述这些部件由主控制器2010相互连接在一起。计算机2000还包括ROM2026、闪速存储器2024、通信接口2022和输入/输出芯片2040。ROM2026、闪速存储器2024、通信接口2022和输入/输出芯片2040借助输入/输出控制器2020连接于主控制器2010。

CPU2012按照ROM2026和RAM2014中存储的程序进行工作，由此来控制各单元。

通信接口2022借助网络与其他电子设备之间通信。闪速存储器2024存储能被计算机2000中的CPU2012使用的程序和数据。ROM2026存储在活性化时由计算机2000执行的引导程序等、和/或依赖于计算机2000的硬件的程序。输入/输出芯片2040还可以将键盘、鼠标和显示器等各种输入/输出单元借助串行端口、并行端口、键盘端口、鼠标端口、显示器端口、USB端口、HDMI(注册商标)端口等输入/输出端口连接于输入/输出控制器2020。

程序经由如CD－ROM、DVD－ROM或存储卡那样的计算机可读储存介质或网络被提供。RAM2014、ROM2026或闪速存储器2024为计算机可读储存介质的例子。程序被安装至闪速存储器2024、RAM2014或ROM2026，并由CPU2012执行。上述这些程序中描述的信息处理被读取到计算机2000，提供程序与上述各种类型的硬件资源之间的链接。装置或方法可以通过随着计算机2000的使用实现信息的操作或处理的过程来构成。

例如，在计算机2000和更新管理服务器之间执行通信的情况下，可以是，CPU2012执行RAM2014中载入的通信程序，并基于通信程序中描述的处理，针对通信接口2022指令通信处理。通信接口2022在CPU2012的控制下，读取如RAM2014和闪速存储器2024那样的记录介质中提供的发送缓存处理区域中存储的发送数据，并将读取出来的发送数据发送至网络，并将从网络接收到的接收数据写入到记录介质上提供的接收缓存处理区域等。

此外，可以是，CPU2012以如闪速存储器2024等那样的记录介质中存储的文件或数据库的全部内容或所需部分被读取到RAM2014的方式，针对RAM2014上的数据执行各种处理。CPU2012接下来将处理后的数据写回到记录介质。

可以是，如各种类型的程序、数据、数据表和数据库那样的各种类型的信息被存储至记录介质并被进行信息处理。CPU2012可以针对从RAM2014读取出来的数据，执行本说明书中记载且由程序的指令顺序指定的各种操作、包括信息处理、条件判断、条件分支、无条件分支、信息的检索/替换等在内的各种处理，并将结果写回到RAM2014。此外，CPU2012可以检索记录介质中的文件、数据库等中的信息。例如，在多个条目存储于记录介质中且该多个条目分别具有与第二属性的属性值相关的第一属性的属性值的情况下，可以是，CPU2012从该多个条目中检索出与第一属性的属性值指定的条件相一致的条目，并读取该条目中存储的第二属性的属性值，由此来获取与满足预定的条件的第一属性相关的第二属性的属性值。

上面说明的程序或软件模块可以存储在计算机2000上或计算机2000附近的计算机可读储存介质中。如与专用通信网络或互联网相连接的服务器系统中提供的硬盘或RAM那样的记录介质能够用作计算机可读储存介质。可以将计算机可读储存介质中存储的程序经由网络提供给计算机2000。

安装于计算机2000并使计算机2000作为控制系统200发挥作用的程序可以在CPU2012等中运行，使计算机2000分别作为更新管理服务器70的各部发挥作用。这些程序中记述的信息处理通过被读入到计算机2000，从而作为成为软件与上述的各种硬件资源协同工作的具体手段的更新管理服务器70的各部发挥作用。然后，通过采用这些具体手段来实现与本实施方式中的计算机2000的使用目的对应的信息的运算或加工，能够构建与使用目的对应的特有的控制系统200。

各种实施方式通过参照框图等被进行了说明。框图中，各框可以代表(1)操作被执行的进程的步骤或(2)带有执行操作的作用的装置的各部。特定的步骤和各部可以由专用电路、与计算机可读储存介质上存储的计算机可读指令一起供给的可编程电路、和/或与计算机可读储存介质上存储的计算机可读指令一起供给的处理器来实施。专用电路可以包括数字电路和/或模拟硬件电路，可以包括集成电路(IC)和/或分立电路。可编程电路可以包括逻辑与、逻辑或、逻辑异或、逻辑与非、逻辑或非以及其他逻辑操作、包括触发器、寄存器、现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)等那样的存储器元素等在内的、可重新构成的硬件电路。

计算机可读储存介质可以包括能够存储由适当的设备执行的指令的任意有形设备，其结果，具有被存储在该计算机可读储存介质中的指令的计算机可读储存介质构成包含下述指令的产品的至少一部分，该指令能够以提供用于执行由处理工序或框图指定的操作的手段为目的而被执行。作为计算机可读储存介质的例子，可以包括电子储存介质、磁储存介质、光储存介质、电磁储存介质、半导体储存介质等。作为计算机可读储存介质的更具体的例子，可以包括Floppy(注册商标)软磁盘、光盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦可编程只读存储器(EPROM或闪速存储器)、电可擦可编程只读存储器(EEPROM)、静态随机存取存储器(SRAM)、光盘只读存储器(CD-ROM)、数字多功能磁盘(DVD)、蓝光(RTM)磁盘、记忆棒、集成电路卡等。

计算机可读指令可以包括汇编指令、指令集架构(ISA)指令、机器指令、机器相关指令、微码、固件指令、状态设定数据、或利用包括Smalltalk、JAVA(注册商标)、C++等那样的面向对象的编程语言、以及“C”编程语言或同样的编程语言那样的现有的过程式编程语言在内的、一个或多个编程语言的任意组合来描述的源代码或对象代码中的任一者。

可以是，计算机可读指令借助本地网或局域网(LAN)、如互联网等那样的广域网(WAN)，对通用计算机、特殊目的计算机、或者其他可编程的数据处理装置的处理器或可编程电路提供，且以提供用于执行由所说明的处理工序或框图指定的操作的手段为目的来执行计算机可读指令。作为处理器的例子，包括计算机处理器、处理单元、微处理器、数字信号处理器、控制器、微控制器等。

上面使用实施方式说明了本发明，但本发明的技术范围不限定于上述实施方式中描述的范围。对本领域的技术人员而言，可知能够对上述实施方式施加多种变更或改良。根据请求保护的范围的描述可知，通过施加上述那样的变更或改良所做成的实施方式也能被包含在本发明的技术范围内。

应当注意的是，就请求保护的范围、说明书和附图中示出的装置、系统、程序和方法中的工作、工序、步骤和阶段等的各处理的执行顺序而言，只要未特别明示“在..之前”、“先于”等字眼，且未说在随后的处理中使用先前的处理的输出，就能够以任意顺序将其实现。有关请求保护的范围、说明书和附图中的工作流程，为了方便，使用了“首先，”、“其次，”等进行了说明，但即使如此，也并不意味着必须以该顺序实施。

附图标记的说明

10 更新系统

20 车辆

70 更新管理服务器

90 通信网络

200 控制系统

201 TCU

202 ECU

204 ECU

205 ECU

206 ECU

207 ECU

280 通信网络

294 FI

295、296、297 传感器

298 MID

299 IVI

310 获取部

320 生成部

340 通知控制部

350 更新限制部

2000 计算机

2010 主控制器

2012 CPU

2014 RAM

2020 输入/输出控制器

2022 通信接口

2024 闪速存储器

2026 ROM

2040 输入/输出芯片。

Claims (10)

1.一种更新管理服务器，其中，具备：

获取部，从多个移动体中的每一个，获取对每一个移动体的至少一部分进行控制的移动体控制部的程序的版本信息、以及作为在每一个移动体中检测到的信息的移动体信息；以及

生成部，基于所述获取部获取的所述版本信息和所述移动体信息，按所述移动体控制部的程序的每个版本来生成示出所述移动体信息的正常范围的正常范围信息，

所述生成部基于所述多个移动体中的、所述移动体控制部的程序是第一版本的移动体中检测到的所述移动体信息，来生成所述第一版本的正常范围信息，

所述生成部在生成比所述第一版本新的第二版本的正常范围信息的情况下，

确定所述多个移动体中的、所述移动体控制部的程序的版本是所述第一版本时检测到的所述移动体信息为所述第一版本的所述正常范围内的移动体，

使用确定的所述移动体的所述移动体控制部的程序的版本是所述第二版本时由确定的所述移动体检测到的所述移动体信息，来生成所述第二版本的正常范围信息。

2.根据权利要求1所述的更新管理服务器，其中，

所述获取部从所述多个移动体中的每一个，获取对每一个移动体的至少一部分进行控制的多个移动体控制部中的每一个的程序的版本信息、以及所述移动体信息，

所述生成部基于所述获取部获取的所述版本信息和所述移动体信息，按所述多个移动体控制部的程序的版本的每个组合，生成所述正常范围信息。

3.根据权利要求1或2所述的更新管理服务器，其中，

所述获取部还获取种类信息，所述种类信息示出由所述移动体控制部控制的被控制设备的硬件的种类，

所述生成部基于所述获取部获取的种类信息和所述移动体信息，按所述移动体控制部的程序的版本和所述硬件的种类的每个组合，生成所述正常范围信息。

4.根据权利要求1或2所述的更新管理服务器，其中，

所述移动体信息包括示出所述多个移动体的移动状态的信息，

所述生成部按所述移动体的每个移动状态，生成所述正常范围信息。

5.根据权利要求1或2所述的更新管理服务器，其中，

所述移动体的移动状态包括如下中的至少一个：停止中、加速中、定速移动中和减速中。

6.根据权利要求1或2所述的更新管理服务器，其中，还具备通知控制部，所述通知控制部确定所述多个移动体中的、检测到所述移动体控制部的程序的版本的正常范围外的所述移动体信息的移动体，并控制向与确定的所述移动体相关联的用户的通知。

7.根据权利要求1或2所述的更新管理服务器，其中，还具备更新限制部，所述更新限制部在所述第一版本的正常范围是单个范围、所述第二版本的正常范围是多个范围的情况下，限制通过所述第二版本的程序来改写所述移动体控制部的程序。

8.根据权利要求1或2所述的更新管理服务器，其中，所述移动体是车辆。

9.一种更新管理方法，其中，具备：

从多个移动体中的每一个，获取对每一个移动体的至少一部分进行控制的移动体控制部的程序的版本信息、以及作为在每一个移动体中检测到的信息的移动体信息的步骤；以及

基于获取的所述版本信息和所述移动体信息，按所述移动体控制部的程序的每个版本来生成示出所述移动体信息的正常范围的正常范围信息的步骤，

按所述移动体控制部的程序的每个版本来生成示出所述移动体信息的正常范围的正常范围信息的步骤具备：

基于所述多个移动体中的、所述移动体控制部的程序是第一版本的移动体中检测到的所述移动体信息来生成所述第一版本的正常范围信息的步骤；以及

生成比所述第一版本新的第二版本的正常范围信息的步骤，其中，该步骤具有：确定所述多个移动体中的、所述移动体控制部的程序的版本是所述第一版本时检测到的所述移动体信息为所述第一版本的所述正常范围内的移动体的步骤；以及使用确定的所述移动体的所述移动体控制部的程序的版本是所述第二版本时由确定的所述移动体检测到的所述移动体信息来生成所述第二版本的正常范围信息的步骤。

10.一种计算机可读存储介质，存储有程序，其中，所述程序使计算机执行如下的工序：

从多个移动体中的每一个，获取对每一个移动体的至少一部分进行控制的移动体控制部的程序的版本信息、以及作为在每一个移动体中检测到的信息的移动体信息的工序；以及

基于获取的所述版本信息和所述移动体信息，按所述移动体控制部的程序的每个版本来生成示出所述移动体信息的正常范围的正常范围信息的工序，

按所述移动体控制部的程序的每个版本来生成示出所述移动体信息的正常范围的正常范围信息的工序具备：

基于所述多个移动体中的、所述移动体控制部的程序是第一版本的移动体中检测到的所述移动体信息来生成所述第一版本的正常范围信息的工序；以及

生成比所述第一版本新的第二版本的正常范围信息的工序，其中，该工序具有：确定所述多个移动体中的、所述移动体控制部的程序的版本是所述第一版本时检测到的所述移动体信息为所述第一版本的所述正常范围内的移动体的工序、以及使用确定的所述移动体的所述移动体控制部的程序的版本是所述第二版本时由确定的所述移动体检测到的所述移动体信息来生成所述第二版本的正常范围信息的工序。

Images